CVE-2026-71550

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.9
EPSS: —
CWE: CWE-98
KEV Durumu: Hayır

Yayım tarihi: 5 Kasım 2026

SuiteCRM, açık kaynaklı, kurumsal düzeyde müşteri ilişkileri yönetimi (CRM) yazılım uygulamasıdır. 7.15.2 ve 8.10.2 sürümlerinden önceki sürümlerde, iş akışı denetleyicisi require_once() içinde yol gezintisi yapabilen bir aow_action değerini kısıtlamadan kullanır. Etkilenen akış modules/AOW_WorkFlow/controller.php dosyasında başlar ve aow_action ile require_once() kullanır, böylece saldırgan tarafından kontrol edilen veri veya yetkilendirme durumu güvenlik açısından kritik işlemlere dahil edilir. İşAkışı rolüne sahip bir kimlik doğrulama yapılmış kullanıcı, çalıştırılabilir PHP dahil edebilir, sunucu tarafı kod yürütmesini elde edebilir, CRM verilerine ve yapılandırma gizli anahtarlarına erişebilir ve kalıcı erişim kurabilir. Bu sorun 7.15.2 ve 8.10.2 sürümlerinde giderilmiştir.

Orijinal açıklama (İngilizce)

SuiteCRM is an open-source, enterprise-ready Customer Relationship Management (CRM) software application. Prior to 7.15.2 and 8.10.2, the workflow controller uses a path-traversal-capable aow_action value in require_once() without constraining the resolved file. The affected flow begins at modules/AOW_WorkFlow/controller.php and uses aow_action, and require_once() to carry attacker-controlled data or authorization state into the security-sensitive operation. An authenticated user with the WorkFlow role can include executable PHP, obtain server-side code execution, access CRM data and configuration secrets, and establish persistent access. This issue is fixed in versions 7.15.2 and 8.10.2.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.